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Veifahren und Yomchtung zur Oberwachang eines vei i eiUen SyRtemft 
Stand derTechnik 

Die Erfindung geht aus von einem Verfahren und einer Vorrichtung zur tJberwachung 
dnes verteilten Systems, weldies aus mehreren Teilndimem besteht, die mittcls eines 
Bussyslems verbunden sind sowie einem entsprechenden Bussystem und dnem 
entsprechenden verteilten System gemaB den Oberbegriffen der unabhfingigen 
AnsprOche. 

Der heuUge Ansalz einer Vielzahl eleklronischer Steuereinheiten in alien technischen 
Berdchen, wie z. B. in industrieUen Anwendungen, z. B. im Werkzeugmaschinenbereich 
Oder auch der Automatisierung sowie im Fahrzeugbereich und die Vemelzcung dieser 
Steuereinheiten wirft insbesondere bei sicherhdtsrelevanten Anwendungen wie 
bdspielswdse Bremsfunktionen beim Kraftfehrzeug, z. B. ABS oder ESP, 
Lenkfunktionen oder auch Getriebeschaltfimktionen sowie Motorsteuerungsfimktionen 
das Problem des sicheren Belriebs eines solchen vertdllen Systems auf. 

Dabd werden heute gerade im Kraftfahizeugbereich gemischl mechanisch-elektronische 
Systeme verwendet. Heutige mechatronische Systeme uberwachen die Funktion des 
Systems selbsttatig, indem z. B. Redundanz eingebaut wiixL Obliche Systeme beinhalten 
dabd je Steuereinheit bzw. Tdlsystem zwd Ptozessoien, welche die Funklionen 
berechnen und dann die Ergebnisse vergleichen. Licgl eine Differenz der Ergebnisse vor, 
so muss ein Fehier eingetreten sein und es konnen sicherheitsrelevante Mafinahmen 
emgeleitet werden. Dabd isl der zweile Prozessor hSufig leistungsschwacher ansgelegC 
In einem solchen Fall rechnet dieser zweite Prozessor nur ausgewahlte Tdlbereiche nach 
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und veigleicht diese mit dem eigentUchen Funktionsiechner, wie dies beispielsweise in 
derDE 195 00 188 Al gezeigl ist 

Obertragen auf ein verteiltes System bedeutet das. dass jedes Steuergerat des Teflsystems 
5 in sich so aufgebaut ist, dass es einen Fehler selbsttatig edceimen kann und dann 

FeMerbehandlungsmaBnahmen einleilet, jedes Teilsystem also selbst redundant zur 
Ermittlung der Ergebnisse auflgebaut ist ZurEizeugung dieser Redundanz in den 
selbstuberwachenden Sleuereinheiten miissen diese sehr aufwSndig aufgebaut sein und es 
miissen Komponenten integriert sein, die fiir die dgentUche Fimktion der Steuer^ 
1 0 nicht zwingend notwendig wSren. 

Aufgabe derErfindung ist es nun. diesen Obenvachungsaufwand fiJr jedes einzelne 
Teilsystem zu reduzieren. 

1 5 Vorteile der Eifindung 

Gelost wird diese Aufgabe durch die Verlagerung wesentlicher 
Oberwachungsfonktionalitat auf das Bussystan selbsL So wild eine Oberwachung von 
verteilten Systemen uber das Bussystem hinweg ermogUcht, woduich vorteilhafter Weise 
die Teilsysteme bzw. Steuereinheiten oder Teilnehmer auf ihre eigene Funklion bezogen 
aufgebaut weiden k6nnen und zusatdichor t)berwachungsauiwand in diesem 
Teilnduneraufbau weitg^end vermieden weiden karai. 
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Dazu geht die Erfindung von einem Verfahren und einer Voirichlung zur Obenvachung 
eines verteilten Systems aus, welches aus m^ren Teihiehmem besteht, die mittels eines 
Bussystems verbunden sind. ZweckmaOiger Weise wird dann wenigslens eine Anzahl der 
Tdtoehmer als uberwachende Teilnehmer vorgesehen und Prozessdaten wenigstens eines 
flberwachten Teilnehmera werden in Dalenbereichen von Speichercinheiten des 
Bussystems abgelegt, auf welche die uberwachenden Teilnehmer Zugriffhabeai, wobei 
diese Prozessdaten durch die uberwachenden Teilnehmer ausgeweitet werden. ' 

So muss vorteilhafter Weise in einem System mit verteiller Tntelligenz nicht jedes 
Teilsystem in sich alle relevanten Fehler selbst entdecken und notige Gegenmaflnahmen 
einleitcn, da dies eihohte Koslen auiwerfen wurde und die vorhandenen Moglichkeilen 
des Bussystems nidit genutzt wuiden. So kann erfindungsgemaB auf Teile der 
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Oberwadmngsvonichtungen verzichtet werden, indem TeDe der Cberwachung dmch 
andere Teilnehmer mitubemommen weiden, insbesondere darch den jedem Teilnehmer 
imfividueU zugeordneten Abschnitt des Bussystems, die Busanfcojppelemheit 

ZweckmSfliger Weise wird dazu jeder der Itetenberciche eindeutig einem uberwachten 
Teihiehmer zageordneL 

Dabei isl es vorleilhaft, wenn der flberwachte Teilnehmer selbsl auf den ihm 
zugeordneten Datenbereich keinen ZugriflFhat Dabei kdnnen zum Einen die 
Dalenbereiche fiber die wenigslens zwei Speichereinheiten verteill sein, so dass 
sozusagen virtueUe Dataibereiche entstehen nnd/oder wenigstens ein Teil der 
Dalenbereiche isl gleichzeitig in jeder Speichereinheit voreehbar, abhangig vom 
Zugriffspotential dereinzelnen Teilnehmer. 

Zur Cfberwachung selbst, erzeugt jeder flberwachende Teilnehmer vorteilhafter Weise 
abhangig von der Auswertung der Prozessdaten des uberwachten Teilnehmers 
Ergebnisdaten. Diese Eigebnisdaten zur Oberwachung werden von aUen uberwachenden 
Teihiehmem mil Ausnahme des wenigstens einen fiberwachten Teilnehmera selbst 
erzeugt und ergeben sich aus der Auswertung der Prozessdaten, insbesondere indem die 
eigeneimiltelten Daten zu den Prozessen mit denen des zu uberwachenden Teilnehmere 
vetglichen weidtti. ZweckmSBiger Weise wird in diesen Eigebnisdaten dann eine 
Fehlerinformation und/oder eine MaBnahmeninfomialion enthalten sein. Damil Icann dem 
2U fiberwachenden Teihiehmer zum Emen aus individueUer Sicht jedes iiberwachenden 
Teihiehmere milgeteili werden, ob ein Fehler vorliegl und welche MaBnahmen aufgrund 
eines vorliegenden PdUers der jeweils fiberwachende Teihidmier emleiten wQide. 

Dies erfolgt vorteilhafter Weise dadurch, dass die Eigebnisdaten uber das Bussystem za 
einem KommunikalionsconlroUer des Bos^stems uberfiagen werden, der dem 
uberwachten Teilnehmer zugeordnet ist Die Auswertung der Ergebnisdaten kann so zum • 
30 Einen durch den Kommunikationsconlroller des uberwachten Teilnehmers selbst 

ausgefilhrt werden. Werden die Ergebnisdaten tn einer vorteilhaften Ausfuhrungsform in 
den Datenbereichen, insbesondere der Busankoppeleinheit abgelegt, kann eine 
Auswertung auch durch andere Teihiehmer oder andere KommunikationsoonHoner auBer 
dem des aberwachten Teibi^mers eriblgen. 
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Dmch die erfindungsgemaflen Verfahren, Vonichtimg, Bussystem und Verteiltes System 
kdnnen im Gesamteystem wentger kostentrachtige Mafiitahmen zar t)bcrwachung 
einzelner Baugruppen Oder Teilsysteme des Gesamtsystems eingesetzt werden, so dass 
insbesondere die Anzahl von Hardwarekomponenten in den Teilsystemen und damil die 
Kosten fur diese vemngert werden kdnnen. Weiterfiin kann ohne grofien Mehiaufwand 
eine Bewertung durch Voting der Oberwachungsinfonnationen, insbesondere einer M- 
aus N-Auswahl bezugUch Eigebnisdaten erfolgen, wobei N und M naturliche Zahlen 
sind und M grSBer 2 sowie N gidfler W2 isL 

Weitere Vorteile und vorteilhafle Ausgeslallungen ei^ben sich aus der Beschreibung 
' sowie den M erkmalen der Anspruche. 

Zeichnung 

15 Nachfolgend wird die Etfindung anhand der in der Zeichnung daigestellten Figuren nSher 

* criautcit. 

Dabei zeigl 

Figur 1 ein verteUtes System mit mehreren Teilnehmem, wobei ein Teilnehmer aus einem 
2 0 entsprechenden Teilsystem und einer Busankoppeieinheil besteht 

Figur 2 zeigt einen solchen Teilnehmer und seine Anbindung an die 
Kommunikationsveibindung in detaiUiertoter Darstelhmg. 

2 5 Figur 3 zeigt die Busankoppeleinheit mit erfindungsgemiflen Datenbeieichen. 

In Figur 4 ist nochmals ein Teilnehmer detailHert dargestellt, diesmal bezugUch eines 
redundant ausgelegten Bussystems. 



30 



Beschreibung der AusiOhrungsbdspiele 



Figur 1 zeigt ein verteiltes System 100 mit vier Teflnehmem 101 bis 104. Jeder 
Teilndimer besteht dabei aus einem entsprechenden Teilsystem 1 bis 4 sowie einer 
35 Busankoppeleinheit 106 bis 109. Diese Teilndmier 101 bis 104 sind Ober eine 
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Kommunikationsveibiiidung 105 miteinander veibimden. ErfindungsgeinaB iibecnehnxen 
nun in diesem verteilten System die ubenvachenden Teilnehmer, insbesondeie deren 
Busankoppeleinheiten, auch Telle der Cberwachung des wenigstens einen uberwachten 
Teilnehraers, hier beispielsweise Teilnehmer 101 uberwacht durch die Teilnehmer 102 
5 bis 104. Gleichzeitig wird beispielsweise Teilnehmer 102 durch die TeiUiehmer 101, 103 

und 104 uberwachl usw., so dass jeder Teilnehmer leqjektivejedes Teilsyslem durch 
wenigstttis zwei weitere Teihiehmer des verteilten Systems Uberwacht wild. 

Wird jeder Teihiehmer durch wenigstens drei weiterc Teihiehmer des verteflten Systems 
1 0 uberwacht, so ist auch eine Volingiunktion, also cine Auswahlfiinklion bezuglich der 

Beurteilung der ftberwachenden Teilnehmer bezogen auf den iiberwachten Teihiehmer 
mSglich, Dazu kdnnen die fiberwachenden Teilnehmer ihre Einschalzun& also das 
Ergebnis der Oberwachung fiber den Funktionszaistand des wenigstens einen fiberwachten 
Teilnehmers fiber die Kommunikalionsverbindung an beispielsweise den 
1 5 KommunikationscontroUer des uberwachten Teibiehmers fibennittela Diese 

Ergebnisdaten werden dann vom Kommunikalionscontroller ausgewertet, woiaufhin 
dieser dann gegebenenfaUs entsprechende MaBnahmen ergreift. Bei dieser Auswertung 
kann dann em Voting dergestall crfolgen, dass beispielsweise bei drei uberwachenden 
Teilnehmem eine 2- aus 3-Bewertung zum Einen zur Fehlercikennung und auch zur 
2 0 MaBnahmeneinleitung erfolgen kann. Dabei kann jener Teilnehmer von alien anderen 

dem verteilten System zugehorigen Teihiehmem uberwacht werden oder nur von einem 
Teil der Teilnehmer, wobei di^ Teilnehmer dann als uberwachende Teihiehmer 
vQcgesehen sind. 

25 Zur Edidhuqg der Sichaheit, insbesondere bei emem fehleihaflen Teilsystem, kann das 

Teilsyslem selbsl, insbesondere die Recheneinheil des Teilsyslems, nicht auf die 
Oberwachungsergebnisse, also die Eigebnisdaten der anderen Teihiehmer zugreifen. so 
dass die Oberwachung unabhangig im und fiber das Bussystem geschieht 

30 Das verteilte System gemaB Figur 1 isl somit so konzipieri; dass Teile der 

Funktionsuberwachung auch auBerhalb der TeUsysteme, sprich in den anderen 
Teilnehmem bzw. in der Busankoppeleinheit abgeaibeitel weiden l^rnien. Ausgehend 
von emer Oberwachung des Teil^tems 1 legt das Teilsystem 1 die Prozessdaten auf 
dem Datenbus im Bussystem ab. Dabei werden die Prozessdaten in Dalenbereiche von 

35 Speichereinheiten des Bussystems in der Busankoppeleinheit wie in den nachfolgenden 
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Zachnungen noch erlfiutert wild, abgelegt. Die Teilnehmer 101 bis 104 respektive die 
Teilsysleme 2 bis 4 konnen auf diese Prozessdaten in den Dalenbereichen von 
Speichereinheilen des Bussystems zugreifen und diese auswerten, so dass ans diesen 
Infoimationen die Oberwachimg geiechncl werden kann. Jedes Teilsyslem legl seine 
Einschatzung in Fonn von Ergebnisdaten iiber den Zustand des Teilsystems 1, also des 
uberwachten Teilsystems wieder auf dem Datenbus, also dem Bussystem in speziellen 
Bereichen ab. Diese Ergebnisdatenbereiche sind dem Kommumkationscontroller bzw. der 
Busankoppeleinheit oder einer speziell darin vorgesehenen zusalzlichen Einrichtung 
zugeordnet und kdnnen von dieser ausgewertet weiden. 



Diese Eigebnisdaten enthalten zum Einen FeWerinfoimationen, also die Einschatzung des 
jeweiligen Teilsystems, ob das uberwachle teilsystem eine Fehliunktion aufweisl oder 
nicht. Zum Anderen kann diese Fehlerinformation in Fonn einer Kennung derart 
ausgeweilet werden, dass konkrel angegeben weiden kann, bei welchen Prozessdaten und 
15 damit bd welcher FonktionaUtat ein Fehler edcannt wuide. Nebai dieser 

Fehlerinfonnation, die also zum Einen eine Ja-Nein-Enlscheidung des Fehlers eriaubl 
Oder in einer ausgeweiteten Form den Fehler genau bezeichnen kann (bzw. den 
zugrundeliegenden Prozess oder die FunktionalitSt), kann weiteiiiin in den Ergebnisdaten 
eine MaBnahmeninformation vorgesehen sein. Dies bedeutet, dass abhSngig von 
beispielsweise der Fehlerart oder der Prozessdalenarl, bei der der Fehler aufgefrelen ist 
Oder der ProTsessart bzw. Funktionalitat, bei der der Fehler zu Tage trat, 
FehlermaBnahmen differenziert eingeleitel werden kdnnen. Solche MaBnahmen kdnnen 
das Abschalten eines Teilsystems, den tibergang eines Teilsystems in den Notlauf oder 
auch das noraiale Weiterarbeiten bei geringer Fehletpriorilat sein. Bei t^bergang in einen 
Notiauf kann dabei ein voig^benes Programm abgeaibeitet, feste Werte angenommen 
Oder eine eingeschninkte Funktionalilgl vorgesehen weiden. 



Somil kann in einem einfachen FaH em Voting eifolgpn, eben eine N- aus M-Auswahl 
Oder hier eine 2- aus 3- Auswahl mit fest vorgegebener Fehlerreaktion oder auch in 
30 differenzierter Weise abhangig von der Art des Fehlere, wie beschrieben, eine spezielle 

MaBnahme etngeleitet werden, wobei erne Znordnung von Mafinahme zu Fehlerart 
beispielsweise iiber eine fest vorgegdjcne Zuordnungstabelle oder andere 
AuswahUcriterien erfolgen kann. 
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ttn beiqrielsweise bei einem feMeAaften Piozessor bzw. einer so fehleriwflen 
Recheneinheh des Teilsystems 1 za. venneiden. dass diese seibsttaiig dutch die eigene 
Fehlerhafflgkeit die Auswertung der Daten gefahrdet, soli die Recheneinheit des 
Teilsystems 1, also des Oberwachten Systems, keine Mdglichkeit haben, auf die 
qiezieUen Datenbewfche bezQglich der Efgebnisdaten in den Spcicheieinheiten des 
Bussystems. die diesem Teilqrstem 1 zugeoidnet sind. zuzugreifen. 

Figur 2 zeigt nun detailliert einen solchen Teilnehmer, der an die 
Kommunikationsverbindung 201 angefcoppelt ist Die Ankopplung an diese 
KommanikationsveAindung 201 erfblgt uber eine Busankoppeleinheit 202. welche aos 
einem Transceiver 203, einem KommuniJcationscontroUer 204 und der Spdcheteinheit 
einem CberwachungsregisteroderMonitoringregister205 besteht Mitdieser 
Busantoppeleinheit ist das Teilsystem Ober eine Rechnereinheit206 veibunden, welche 
die Steoereinheitbwv. Rechnereinheit, den des Teilsystems datstellt Diese 
TeUeinheit enlhait vob Sem»»n 211 uber eine Sensorsignalanpassungseinheit 212 
gelieferte Eingangsdalen, wobei seiche Sensoidaten ebenfells uber die 
KommunikationsveAindung und die BusankoppeleinheitzurRecheneinheit Heferbar 
Bind. Dies gill beispielsweise fiir intelligente Sensorik, die ihietseils mil der 
K omm i mik nH o nsverfaindang in Verbindtmg gteht 

Ausgehend von diesen Eingangsdalen weiden Ausgangssignale dmch die Rechnereinheit 
206 generiert und mm Einen eine Leistungseinheit 209 angesteoert; welche ihieiseils 
wiedemm Aktuatoien 210 bedient Ebenso sind weiiere Signateusginge fiber eine 
Signa]aiq)assungseinheit 208 optional mdglich. 

Das Oberwadwngstegisterbzw. die Busankoppeleinheil 202 steht direkt mil einer 
Fehlereinheit 207 in Vetbindung. Dadurch kann die Bnsankoppeleinheit. insbesondere 
der Kommunikalionsconlroller 204 ausgehend von den Daten in den DalenbenHchen des 
tWachungsregisters 205 Signale ausgeben, beispielsweise an eine Ruckselzeinheit 
Oder Reset-Unil, emen Spannungsregler, also voltage regulator, einen Oszillalor und/oder 
dnenwatdidog. 



m dem Teitaehmer 200 nach Figur 2. bestehend eben aus dem entsprechenden Teflsystem 
and derBnsankoppelemheit, gelangen so die Oberwachungsinfonnationen. also zum 
35 E^'««I*«>MMdatendesfiberwachtenTeitaehinersu«^ 
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Eigebnisdateii der anderen Teilnehmer. sofem er selbst <U>etwacht wiid, direkt vom 
KommunikBtionsconlrolIer 204 in die OberwadnmBsregirter, also die Dalenbeieiche der 
Speichereinheit 205. to diesen Datenbereich«i kann nun eine Gewichtunft eben 
beii?,ielsweise durch Voting eriblgen, welche MaBnahmen eitigeleitet weiden solleii. 

Sind sich die Teilsystems 2 bis 4 tespelrtive die Teitaehmer 102 bis 104 etnift das 
TeUsystem 1 seine Funktion feWerhait erfSUltbzw. ergibt sich eine solche EiascMtzung 
Z.B. aus einon enlsprechenden Voting, eben z. B. einer 2- aus 3-Answahl. so kann 
beispielsweise Teilsystem 1 resetiert, also zuiflckgesetz^ ganz abgeschaltet Oder 
beispielsweise nur die Leistungseinheil 209 deaktiviert werden. Eine solche 
FehlerteakUon, wie auch scbon voiha: beschrieben. kann aiich durch die 
BusankoBpeleinheit unter Umgdiung der Rechnereinheit 206 optional dutch dirdde 
Ansteuerungder Leistungseinheit 209 bzw. der Si8nalanpassuiigscinheit208. wie dutch 
die ge8lricheltenPfefledargestem;i«alisiert weiden. ■ 

Isl bei mehreren Teilsystemen oder Teflnehtnem nur ein Teitaehmer der Meinunfe dass 

das Teilsysteiti 1 einen Fehler aulweisli so ist denkbar, dass slatt dem iiberwachten 
Teilsystem in diesem Teilsystem, das den Fehler delektieit hat. ein Fehler vorliegt Da, 
wie zu Figur 1 beschtieben, jedes Teilsystem iiberKieuzmit diesem Veifehren gq»flft 
werden kann. kann nun speziell dieses Teilsystem auf Fehler hin untereuchl wenlen. So 
werden daon die Piozessdaten dieses Teilsystems ausgewertet und das Teilsystem, das 
irrtumlich auf Fehler erkannt hali wird seitietseits Obeipriin. Emem fehleihaflen 
Abschalten wird somit voigebeugt Ebenso wird imznreidienden oder iaisdien 
Fehlerreaktionen und Maflnahmen voigebeugt 



FigurS zeiglnochmals eine Busankoppeleinheit 300 mit einem Transceiver 301, einem 
Kfflimninikationsconttoller 302 sowie der SpeichMBinheit, also dem 
t)berwacliungsregi8ter303. Dieses tJberwachungsi^steristhierbeispielhaft in vier 
Datenbereiche Tl . T2, T3 und T4 entspiechend der Anzahl der flberwachten oder zu 
30 uberwachenden Teilnehmer eingeteilt Diese Datenbereiche Tl bis T4 kdnnen dann 

wieder aemerseits geteUt sein, so dass zum Etnen die Prozessdaten des entsprechenden 
Teitaehmers eingeschrieben werden, zum Anderen die entspredienden Eigebnisdaten 
zugeordnet werden kSnnen. Diese Datenbereiche konnen identisch in jeder 
Busankoppeleinheii votgesehen sein. wobei entsprechend der Anzahl der flberwachlen 



wo 2005/001692 



PCT/EP2004/050704 



- 9 - 



10 



15 



und fiberwachenden Teilnehmer auch beUebige andete Kombinaticmen denkbar und 
erfindungsgemaB m6glich sind 

Bei Cberwachung des Teilnehmm Tl werden somil die Prozessdalen dieses Tei.nehmen. 
mTl «rf«8e«hrieben.Dieffl«rwaChendiaTeitoeWwetteaam^ 
and erstellen aus dieser Auswertung Engelaiisdaten. FSir das Einschieiben der 
Eigebmsdaten gibt es nun verschiedene M6gHohkeiten. Zum Einen kamien alle 
Ergetaisdaten der einzelnen Teilnehmer in den Dalenbeieich des Oberwachten 
Teitoehmers eingescluiebea wenten, wobei z. B. durd. eine Kemiung eine Zuordnung der 
Daten aim jeweiligen Oberwachenden Teilnehmer mSglich isl. Der 
Kommnaikaaonscortroller nimmt nun eine Bewertung dieser Ergebnisdaten dutch 
Veigleich Oder Voting vor and leitet eine entsprechende Fehlerreaktion ein. 

Zum Anderen kSm»n die enteprechenden Daten dem jeweiligen leilnehmerzugeonleten 
Datenbereich eingeschrieben wenlen, so dass die jewelHgen IWssdaten des 
enlsprechenden Teilnehmers eingeschrieben werden und die;en Pn«»ssdaten in PEl von 
Tl spez.eUeBereichePE2 bis PE4 zugeordnet sind. in welche die jeweiligen 
Ergebnisdaten eben des TeHnehmere 2. 3 oder 4 eingeschrieben wenlen. so dass durch 
den KommunikalionscontroUer 302 uber diese opBonale Zeile 304 ein Vergleich und ein 
Votmg sowie die enteprechenden MaOnahmen durehgefuhrt wenten konnen. Im ersten 
Fan em^drtdie Anzahl derDatenbereiche der Anzahl deriiberwachten Teitoehmer, so 
dass jedem iiberwachlen Teilnehmer ein Datenbereich eindeulig zugeorfnet ist Im 
2we.ten Fall entspricht die Anzahl der Datenbereiche der Summe der Anzahl der 
iiberwachenden und derflberwachten Teilnehmer, wobei. wie schon beschrieben. dabei 
auch eine Scbnittmenge bis volIsBMigentWinstiamnng der A^ 
und iiberwachenden Teilnehmem mBglichist. sodafi imBctremfell jederTeflnehmervon 
alien anderen ilberwacht wird.. 

IhFigur 4 nun ist ein lednndantes System nritKommunikationsveAindnngen401 und 
30 402 als Teilnehmer 400 daigeslellt Dabei sind mm zwei Busankoppeleinheilen 403 und 

404 vorgesehen. von denen jede nUt einerKommunifertionsverbindung gefcoppelt ist 
Auch hier enlhalten die Busankoppeleinheilen einen Transceiver405 tew. 408 einen 
Kommunikationscontroller 406 nsspektive 409 sowie ein Oberwachungsregist^ die 
Speicheremheit 407 bzw. 410. Auch hieibei ist wenigstens eine Fehlereinheit 41 1 
votBeaehen. die durch die Spdchereinheitbzw. die Busankoppdeinheit 404 bedient wird. 
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Dabei kann die selbe Fehleremheit 41 1 durch die andere Busankoppeleinheit 403 
gleichfells bedient warden, oder aber es ist eine zweite Fdilereinhelt mis 
Redundanzgrunden, also je Busankoppeleinheit eIne Fehlereinheit vorgesehen. Beide 
Busankoppeleinheiten stehen auch hier mit der Rechnereinheit 417 des Teilsystems in 
Veri)indung, welche wiedemm von Sensoren 415 fiber eine 

Sensorsignalanpassungseinheil 41 6 Eingangssignale erhalt GleichwniaOen bildel hier die 
Rechnereinheit 417 Ausgangssignale zu einer Leistungseinheit 413 oder einer 
Signalanpassungseinhdl 41 2. Die Uislimgseinheil 41 3 steuerl auch hier Aklualoren 414 



Duich Vetwendung eines solchen redundanten Systems ist eine Skalieibarkeit bezuglich 
der Fehlersicherheit durch Anordnung derDalenbereiche in den Speichereinheilen 407 
bzw. 410 moglich. So kSnnen die Datenbereiche beispielsweise uber die zwei 
Speichereinheilen verteilt sein oder auch nur teilweise verleilt ond teilweise 

1 5 gleichennafien vorgesehen sein. So ist es mdg^ ich, manche Datenbereiche in beiden 

Speichereinheilen 407 und 410 vorzusehen und andere Datenbereiche jeweils nur in einer 
Speichereinheit Dadurch eigibt sich eine skalietbare Redundanz, mit welcher sehr 
flexibel auf sicheiheilsrelevante Anfordenmgen des Systems reagiert weiden kann. So 
kann wenigstens ein TeU der Datenbereiche zum Binen in jeder Busankoppeleinheit des 

20 verleillen Systems, aber auch in jeder Busankoppeleinheit dieses redundanten verteilten 

Systans voxgesehen sdn. Dies hfingt auch insbesondere von der Anzahl der uberwachten 
ond/oder der uberwachenden Teilnehmer ab. 

Damit ist eine sehr flexible und dennoch einfache Form der Fehleruberwachung in einem 
2 5 verteilten System gegeben. 
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5 



10 AnsprOche 



1. Verfahren zur t)berwachung eines verteilten Systems, welches aus mehreren 

Teilnehmem besteht. die miUels eines Bussystems verbunden sind, dadurch gekennzeichnei. 



i wenigstens eine Anzahl der TeHnehmer als iiberwachende Teilnehmer vorgesehen sind 
15 und Prozessdaten wMiigstens eines uberwachlcn Teilnehmere in Datenbereichen von 

Speichereinheiten des Bussyslems abgelegl werden auf welche die tiberwachenden 
Teilnehmer Zugriffhaben imd die Prozessdaten durdi die uberwachenden Teitaehmer 
ausgewertet werden. 

Verfahren nach Anspruch 1, dadurch gekennzeichnet, dassjederderDatenbereiche 
eindeutig einem fiberwachten Teihiehmer zugeoidnet ist 

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet. dass der uberwachte 
Teilnehmer anf den ihm zugeordnelen Datenbercich keinen Zugriff haL 

25 

4. Verfthren nach Anspnidi 1, dadurdi gekennzeichnet, dass die Datenbweiche fiber 
wenigstens zwei Speichereinheiten verteilt sind. 

5. Verfehren nach Anqjruch 1, dadurch gekennzeichnet, dass wenigstens ein TeU der 
30 Dalenbereiche g^eichzeitig in jeder Speicheieinheit vorgesehen isL 

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass jeder uberwachende 
Teilnehmer, au6er der uberwachte Teilnehmer selbst. abhangig von der Auswerlung der 



wo 2005/001692 



PCT/EP2004/050704 



- 12 - 



Prozessdaten des uberwaditen Teilnehmers Ergebnisdaten erzeugt 

7. Verfahren nach Anspnich 6, daduich gekennzeichnet, dass die ^ebnisdalen eine 
Fehlerinfoimation enthalteiL 

5 

8. Verfahren nach Anspmch 6, dadutch gekennzeichnet, dass die Ergebnisdaten eine 
MaBnahmeninfonnation enthalten. 

9. Verfahren nach Anspnidi 6, dadurdi gckenroseichnel, dass die Ergebnisdaten ilber 
10 das Bussystem zu einem Kommonikalionskontroller des Bussystems bei dem Oberwachten 

Teibiehmers iibertragen werden. 

10. Verfahren nach Anspmch 6, dadurch gekennzeichnet, dass die Ergebnisdaten in den 
Datenbereichen abgelegt werden. 



15 



20 



11. Verfahren nach Anspmch 2 und 6, dadurch gelrennzeichnet, dass die Ergebnisdaten 
jeweils jedem iiberwachlen Teilnehmer zQgeordnet und in den diesen zugeordneten 
Datenbereichen abgelegt werden. 



12. Verfahren nach Anspmch 1, dadurch gekennzeichnet, dass zur tJberwachung eine 
gewichlete Fehlerouswahl als n aus m Entscheidung durchgefuhrt wird, wobei m die Anzahl 
der iiberwachenden Teitoehmer isl, abzuglich des iiberwachlen selbsl und m > 2 mit n > m^. 

Vorrichtung zur Oberwachung eines veiteilten Systems, welches aus mehreren 
Teilnehmem besteht, die mitiels eines Bussystems verbunden sind. dadurch gekennzeichneli 
dass wenigslens eine Anzahl der Teilnehmer als uberwachende Teilnehmer vorgesehen sind 
und erste Mittel vorgesehen sind, welche die Prozessdaten wenigstens eines ilberwacbten 
Teilnehmers in Datenbereichen von Speichereinheilen des Bussystems ablegen auf welche 
3 0 zweite Mittel der iiberwachenden Teihiehmer ZugrifF haben und diese zweiten Mittel die 

Prozessdaten auswerten. 
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14. Voirichtimg nach Anspiuidi 13, daduich gekennzeichnet, dass jede der 
Speicheceinheiten etnem Hberwachenden Teilnehmer zugeordnet ist 

1 5. Bussystem zur Oberwachung eines verteilten Systems, welches aus mehreren 
Teilnehmem bestdit, die mittels des BussyBtems vcibunden sind, dadurch gekennzeichnel, 
dass wenigslens eine Anzahl der Teilnehmer als uberwachende Teilnehmer voigesehen sind 
und erste Mittel vorgesehen sind, welche die Prozessdaten wenigstens eines uberwachten 
Teilnehmers in Datenbereidien von Speichereinheiten des Bussystems ablegen auf welche 
zweite Mittel der Oberwachenden Teflndimer Zugriif haben und diese zweilen Mittel die 
Prozessdaten auswerlen. 



1 6. Verteilles ^lem, welches aus mehreren Teilnehmem besteht, die mitlels eines 
Bussystems verbunden sind, dadurch getennzeichnet, dass wenigstens eine Anzahl der 
Teilnehmer als uberwachende Teilnehmer vorgesehen sind und erale Millel vorgesehen sind, 
welche die Prozessdaten wenigstens eines iiberwachten Teilnehmere in Daienbereichen von 
Speichereinheiten des Bussystems ablegen auf welche zweite \rittel der ub^wadienden 
Teilnehmer ZugrifT haben und diese zweiten-Mittel die Prozessdaten auswerten. 
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